CVE-2026-107727
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Strawberry GraphQL w wersjach od 0.312.3 do 0.327.2 nie usuwa zakończonych operacji z list zadań i subskrypcji w legacy handlerze graphql-ws. Przy skonfigurowanym limicie subskrypcji na połączenie, klient może wykorzystać to do wyczerpania limitu, blokując późniejsze prawidłowe operacje. Problem został naprawiony w wersji 0.327.2.
Ocena ryzyka
Atakujący może spowodować odmowę usługi dla innych użytkowników na tym samym połączeniu WebSocket, uniemożliwiając im wykonywanie subskrypcji.
Rekomendacja
Zaktualizuj Strawberry GraphQL do wersji 0.327.2 lub nowszej. Jeśli nie możesz zaktualizować, rozważ wyłączenie limitu subskrypcji na połączenie lub migrację do nowoczesnego protokołu graphql-transport-ws.
Inne podatności w Strawberry GraphQL
Zobacz wszystkie- CVE-2026-107728Wysokie
Strawberry GraphQL od wersji 0.217.0 do 0.326.1 ma podatność, w której PermissionExtension.resolve() na synchronicznym resolverze pola ocenia wynik has_permission() pod kątem prawdziwości. Gdy niestandardowe uprawnienie deklaruje has_permission() jako zwykłą funkcję, ale zwraca awaitable, supports_sync nie klasyfikuje go jako asynchronicznego, awaitable nie jest oczekiwany, a jego obiektowa wartość prawdziwa pozwala chronionemu resolverowi uruchomić się nawet gdy wynik byłby fałszywy.
- CVE-2026-47707Średnie
Strawberry GraphQL w wersjach 0.172.0 do 0.315.6 nieprawidłowo liczy aliasy w przypadku rozwijania fragmentów (FragmentSpreadNode). Atakujący może ominąć limit aliasów i zmusić serwer do przetworzenia znacznie większej liczby aliasów niż dozwolona, co prowadzi do wyczerpania zasobów i odmowy usługi (DoS).
- CVE-2026-47706Średnie
Biblioteka Strawberry GraphQL w wersjach od 0.71.0 do 0.315.6 zawiera podatność na atak DoS w rozszerzeniu QueryDepthLimiter. Brak wykrywania cykli w fragmentach zapytań prowadzi do nieskończonej rekurencji i błędu RecursionError. Problem został naprawiony w wersji 0.315.7.
- CVE-2026-45739Niskie
W bibliotece Strawberry GraphQL w wersjach 0.288.4 do 0.315.3 wykryto, że szablon GraphiQL zapisywał wartości z edytora nagłówków do parametrów URL w przeglądarce. Może to ujawnić wrażliwe nagłówki, takie jak tokeny autoryzacyjne.
Oryginalny opis (angielski, źródło NVD)
Strawberry GraphQL is a library for creating GraphQL APIs. From 0.312.3 until 0.327.2, the legacy graphql-ws subscription handler in strawberry/subscriptions/protocols/graphql_ws/handlers.py does not remove naturally completed operations from self.tasks and self.subscriptions. When max_subscriptions_per_connection is configured, a client on a persistent WebSocket connection can use distinct operation IDs for one-shot subscriptions to fill the connection's configured slots even after those subscriptions send complete, causing later legitimate operations on that connection to be rejected with Subscription limit reached. The modern graphql-transport-ws protocol and deployments without the configured per-connection cap are not affected. This issue is fixed in version 0.327.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS